Die Umsetzung des Cyber Resilience Act (CRA) ist in vielen deutschen Industrieunternehmen angelaufen. Bis zur vollständigen Erfüllung der Anforderungen ist es allerdings noch ein weiter Weg. Das zeigt der „IoT & OT Cybersecurity Report 2026“, für den Onekey 200 deutsche Industrieunternehmen zu ihrer CRA-Strategie und dem Stand der Umsetzung befragt hat. Erste Maßnahmen sind vielerorts eingeleitet, doch zwischen den regulatorischen Vorgaben und ihrer praktischen Umsetzung bestehen weiterhin erhebliche Lücken.
Dabei rücken die entscheidenden Fristen näher. Ab dem 11. Dezember 2027 gilt der CRA vollständig. Neue Produkte mit digitalen Elementen dürfen dann grundsätzlich nur noch auf dem europäischen Markt in Verkehr gebracht werden, wenn sie die anwendbaren Anforderungen erfüllen. Bereits seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Von Ausnahmen abgesehen gilt diese Pflicht auch für Produkte, die bereits auf dem Markt sind.
CRA-Anforderungen bekannt, Umsetzung noch lückenhaft
Am grundsätzlichen Bewusstsein für die Regulierung mangelt es weniger als an der konkreten Vorbereitung. Rund 46 Prozent der befragten Unternehmen erklären, mit dem CRA vertraut zu sein, darunter 21 Prozent sogar sehr gut. Bei den gesetzlichen Fristen bestehen dagegen Wissenslücken. Allerdings räumten 60 Prozent zum Zeitpunkt der Befragung ein, dass ihnen weitere Phasen und Fristen der EU-Sicherheitsverordnung nicht bekannt sind.
Diese Unsicherheit spiegelt sich im Umsetzungsstand wider. Beim Risikomanagement halten sich lediglich 25 Prozent für sehr gut vorbereitet, bei den Sicherheitsanforderungen sind es 22 Prozent. Für die Dokumentation und die Bereitstellung von Sicherheitsupdates über den Produktlebenszyklus liegt der Anteil jeweils bei 20 Prozent. Etwa jedes dritte Unternehmen ist bei internen Prozessen, Risikomanagement und dem Management von Sicherheitsupdates bislang kaum oder gar nicht vorbereitet.
Besonders anspruchsvoll sind die bereits geltenden Meldepflichten. Für 62 Prozent gehört die Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden zu den größten Herausforderungen. Dass es sich dabei keineswegs um ein theoretisches Problem handelt, verdeutlicht ein weiteres Ergebnis: 46 Prozent haben in ihrer Produktsoftware bereits ausnutzbare Schwachstellen festgestellt, die unter die Meldepflicht des CRA fallen.
Softwarebestandteile und Schwachstellen müssen nachvollziehbar sein
Eine wesentliche Voraussetzung für die Umsetzung des CRA ist die Transparenz über die eingesetzte Software. Sogenannte Software Bills of Materials (SBOMs) dokumentieren die Bestandteile eines Produkts einschließlich ihrer Abhängigkeiten. Wird eine Sicherheitslücke bekannt, lässt sich damit ermitteln, welche Produktversionen betroffen sind, welche Risiken bestehen und wo Updates notwendig werden. Zugleich bilden SBOMs eine wichtige Grundlage für die vorgeschriebene Schwachstellenbehandlung und technische Dokumentation.
In der industriellen Praxis sind solche Bestandsaufnahmen noch längst nicht flächendeckend etabliert. Lediglich 18 Prozent der Unternehmen verfügen für sämtliche betroffenen Produkte über eine SBOM. Weitere 39 Prozent haben zumindest einen Teil ihrer eingesetzten Software erfasst, knapp ein Viertel noch gar keine Inventarisierung vorgenommen.
Auch vorhandene Software-Stücklisten sind häufig unvollständig. Nur 26 Prozent dokumentieren eindeutige Versionsnummern, gerade einmal 17 Prozent erfassen Abhängigkeiten zwischen den Komponenten. Der CRA verlangt dagegen eine SBOM in einem gängigen, maschinenlesbaren Format, die mindestens die direkten Abhängigkeiten enthält.
Die fehlende Transparenz erschwert auch das Vulnerability Management. Für 62 Prozent der Unternehmen ist die systematische Identifikation und Behebung von Schwachstellen noch nicht vollständig gelöst. Zwar führen 68 Prozent regelmäßige Software-Updates durch, ein erheblicher Teil jedoch nur teilweise. Automatisierte Schwachstellenanalysen nutzen 63 Prozent, aber nur 23 Prozent setzen sie konsequent ein.
Hinzu kommen Anforderungen an die Produktentwicklung. Das Prinzip „Security by Design / Security by Default“ stellt 65 Prozent vor Herausforderungen. Cybersicherheit muss demnach von Beginn an in die Entwicklung integriert werden, und Produkte müssen ab Werk sichere Voreinstellungen mitbringen. Sicherheit begleitet damit den gesamten Entwicklungsprozess und Produktlebenszyklus.
Zulieferer entscheiden über die Cybersicherheit mit
Die Herausforderungen enden nicht bei der selbst entwickelten Software. Industrielle Produkte enthalten häufig Betriebssysteme, Open-Source-Bibliotheken, Kommunikationsmodule, Software Development Kits, Container, Cloud-Komponenten und Firmware externer Anbieter. Sicherheitslücken können sich dadurch über mehrere Lieferstufen hinweg auf zahlreiche Produkte und Versionen auswirken.
Die Verantwortung verbleibt dennoch beim Hersteller, der das Produkt unter eigenem Namen auf dem europäischen Markt bereitstellt. Er muss die Cybersicherheitsrisiken des gesamten Produkts beherrschen. Dafür müssen Herkunft, Zusammensetzung und Versionsstände der eingesetzten Komponenten nachvollziehbar sein, damit sich bei neu entdeckten Schwachstellen die betroffenen Produkte zuverlässig identifizieren lassen.
Wie groß der Nachholbedarf bei der Zusammenarbeit mit Zulieferern ist, verdeutlichen die Umfrageergebnisse. Erst 26 Prozent der Industrieunternehmen verlangen konsequent CRA-Compliance von ihren Lieferanten, weitere 33 Prozent zumindest teilweise. Gleichzeitig sind nach Einschätzung der Befragten lediglich 18 Prozent der Zulieferer umfassend auf den CRA vorbereitet. Ein Viertel der Unternehmen kann deren Vorbereitungsstand nicht beurteilen.
Für Hersteller entsteht daraus ein erhebliches Risiko. Fehlende SBOMs, unklare Softwareversionen oder ungeregelte Sicherheitsupdates können die Compliance und damit den Absatz in der EU gefährden. Cybersicherheit sollte deshalb bereits bei Beschaffung, Lieferantenauswahl und Vertragsgestaltung berücksichtigt werden. Dazu gehören maschinenlesbare SBOMs, definierte Meldewege für Schwachstellen, Reaktionszeiten sowie Regelungen zu Sicherheitsupdates und Supportzeiträumen.
Fehlende Compliance kann den Marktzugang gefährden
Die Umsetzung des CRA erfordert technische und organisatorische Veränderungen sowie zusätzliche finanzielle Mittel. 61 Prozent der Unternehmen haben dafür bereits Budget reserviert oder planen entsprechende Ausgaben. Bei 27 Prozent liegt die Verantwortung unmittelbar bei der obersten Führungsebene beziehungsweise Geschäftsführung.
Die wirtschaftliche Tragweite ist erheblich. Bei Verstößen gegen grundlegende Cybersicherheitsanforderungen oder zentrale Herstellerpflichten drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Neben möglichen Sanktionen steht der Zugang zum europäischen Markt auf dem Spiel. 39 Prozent der Unternehmen befürchten, ihre Geräte, Maschinen und Anlagen nach dem 11. Dezember 2027 nur noch unter erschwerten Bedingungen oder gar nicht mehr in der EU anbieten zu können. Weitere 30 Prozent sehen Reputationsschäden und Vertrauensverlust als Risiko.
Auch die Entwicklungsarbeit dürfte sich verändern. Der CRA fordert unter anderem sichere Voreinstellungen, dokumentierte Risikobewertungen, „Security by Design / Security by Default“, ein wirksames Schwachstellenmanagement und Sicherheitsupdates während des vorgesehenen Unterstützungszeitraums. Mehr als 60 Prozent der Unternehmen erwarten deshalb einen höheren Zeitaufwand bei der Entwicklung neuer oder aktualisierter Geräte, Maschinen und Anlagen. 28 Prozent rechnen sogar mit einer deutlich längeren Entwicklungsdauer.
Die kommenden Monate werden entscheidend
Trotz aller Schwierigkeiten sind die Ziele ambitioniert. Insgesamt erwarten rund 67 Prozent, die CRA-Anforderungen bis zum 11. Dezember 2027 vollständig zu erfüllen: Acht Prozent sehen sich bereits am Ziel, 26 Prozent streben dies bis Ende 2026 an und 34 Prozent bis zur Frist Ende 2027. Rund 13 Prozent erwarten hingegen, die Anforderungen nicht rechtzeitig erfüllen zu können.
Die Befragung zeigt, dass die deutsche Industrie die Umsetzung zwar begonnen hat, bei Softwaretransparenz, Schwachstellenmanagement, Entwicklungsprozessen und Lieferketten aber konsequent weiterarbeiten muss.
Dabei geht es um mehr als gesetzliche Fristen. Zunehmend automatisierte und KI-gestützte Cyberangriffe verschärfen die Bedrohungslage. Neben klassischen IT-Systemen können auch vernetzte Maschinen, industrielle Steuerungen und Produktionsanlagen verstärkt ins Visier geraten. Die Folgen reichen von Datendiebstahl über Produktionsausfälle und Prozessmanipulationen bis hin zu möglichen physischen Schäden.
Der CRA ist deshalb nicht nur eine regulatorische Herausforderung. Seine konsequente Umsetzung ist zugleich ein wichtiger Bestandteil der betrieblichen Risikovorsorge.
